права на хранимые процедуры

Завел логин с правами datareader и denydatawriter. Отматил на базу данных.

Дал логину права GRANT VIEW ANY DEFINITION TO login

После чего в студии при открытии хранимых процедур выскакивает ошибка

The SELECT permission was denied on the object 'sysobjects', database 'mssqlsystemresource', schema 'sys'

Если убираю denydatawriter, все работает. Как бы обойти эту проблему?

denydatawriter
Дал логину права GRANT VIEW ANY DEFINITION TO login

Зачем ANY DEFINITION, если права нужны в конкретной базе ?

denydatawriter
Если убираю denydatawriter, все работает. Как бы обойти эту проблему?

Зачем denydatawriter, если не разрешено писать куда-либо ?

Glory, первый вопрос согласен. Второй - зачем вообще denydatawriter тогда нужна?

Для того же, для чего нужен deny наряду с grant.

denydatawriter
Второй - зачем вообще denydatawriter тогда нужна?

Зачем нужны роли ?
Чтобы легче было манипулировать правами.

Glory
denydatawriter Второй - зачем вообще denydatawriter тогда нужна? Зачем нужны роли ? Чтобы легче было манипулировать правами.

Интересный эффект, убираю VIEW ANY DEFINITION и denydatawriter, оставляю только datareader. Пользователь видит хранимые процедуры.

Как-то нелогично получается, я добавляю роль denydatawriter и пропадают права на просмотр процедур.

denydatawriter
Как-то нелогично получается, я добавляю роль denydatawriter и пропадают права на просмотр процедур.

Т.е. если пользователь получил права на что-то через одну роль, а потом запрет, но через другую роль, то он по-прежнему должен иметь права ? Или нет ?

Glory
denydatawriter Как-то нелогично получается, я добавляю роль denydatawriter и пропадают права на просмотр процедур. Т.е. если пользователь получил права на что-то через одну роль, а потом запрет, но через другую роль, то он по-прежнему должен иметь права ? Или нет ?

Конечно нет, если есть запрет, он имеет приоритет. Однако каким образом роль denydatawriter запрещает пользователю видеть хранимые процедуры? Пользователь же их только читает.

denydatawriter
Завел логин с правами datareader и denydatawriter

Что за права такие? Если вы про db_datareader и db_denydatawriter, то это роли БД. Непонятно, как можно "завести логин" с такими правами.

denydatawriter
Однако каким образом роль denydatawriter запрещает пользователю видеть хранимые процедуры?Пользователь же их только читает.

И какую команду ваш пользователь отправляет серверу, чтобы "видеть хранимые процедуры" ?